KeePassXC, le gestionnaire de mots de passe sans compte ni serveur

Bitwarden repose sur une architecture zero-knowledge solide, mais garde malgré tout un serveur au centre du système, même quand cet serveur est auto-hébergé. KeePassXC part d'un principe radicalement différent : aucun serveur du tout, aucun compte à créer, uniquement un fichier.

Le principe : un seul fichier chiffré, rien d'autre

KeePassXC, un logiciel gratuit et open source, stocke l'ensemble d'un coffre de mots de passe dans un unique fichier chiffré (au format .kdbx), protégé par un mot de passe maître et, en option, un fichier-clé supplémentaire. Ce fichier peut être placé n'importe où, un disque local, une clé USB, ou un dossier synchronisé par un service cloud classique au choix de l'utilisateur. Contrairement à Bitwarden, il n'existe aucun serveur dédié à contacter, aucun compte à créer, aucune entreprise à qui confier, même sous forme chiffrée, la garde de ce fichier.

La synchronisation, une responsabilité qui revient à l'utilisateur

Cette simplicité a une contrepartie directe : KeePassXC ne synchronise rien automatiquement entre plusieurs appareils. Faire coïncider le même coffre sur un téléphone et un ordinateur demande de placer le fichier dans un dossier synchronisé par un service tiers au choix (un cloud classique, ou une solution auto-hébergée), une étape supplémentaire à mettre en place soi-même, là où Bitwarden s'en charge automatiquement dès la création du compte.

Le double facteur local : fichier-clé et YubiKey

Au-delà du simple mot de passe maître, KeePassXC permet de combiner un fichier-clé, un fichier généré une fois et nécessaire en plus du mot de passe pour ouvrir le coffre, ou une clé de sécurité physique de type YubiKey (voir le mécanisme similaire déjà décrit dans l'article sur la double authentification). Cette combinaison renforce la protection du fichier local, une couche supplémentaire particulièrement utile puisqu'il n'y a, par construction, aucun serveur distant pour détecter ou bloquer une tentative d'accès suspecte.

Points de vigilance

• Sans compte ni serveur, il n'existe aucune procédure de récupération en cas de mot de passe maître oublié ou de fichier perdu sans sauvegarde : la responsabilité de la sauvegarde repose entièrement sur l'utilisateur (voir l'article sur les sauvegardes)
• L'absence d'application mobile officielle unifiée avec le bureau (KeePassXC est avant tout un logiciel de bureau, des applications mobiles compatibles existent séparément) demande un peu plus de configuration qu'une solution tout-en-un comme Bitwarden
• Le fichier .kdbx chiffré reste sûr même s'il est intercepté, mais synchroniser ce fichier via un service cloud classique et non chiffré de bout en bout déplace une partie de la confiance vers ce service pour le simple transport du fichier, pas pour son contenu

Pour qui

KeePassXC convient à quiconque préfère garder un contrôle total et local sur son coffre de mots de passe, sans dépendre d'un service en ligne ni faire confiance à un fournisseur, même transparent comme Bitwarden. C'est un compromis assumé entre simplicité d'usage et contrôle total : plus de configuration au départ, en échange de ne dépendre littéralement d'aucun tiers pour accéder à ses propres mots de passe.